10.3 Notitie rechtmatigheidsverantwoording - adviezen en best practices (VNG)
Tekst van het document
22
Vereniging van Nederlandse Gemeenten
Provincie Flevoland
Provincie Utrecht
De risicomatrix bestaat daarmee uit drie onderdelen. 1 Inventarisatie. Allereerst wordt het proces in hoofdlijnen uitgewerkt. Bij elke processtap worden de risico’s op de verschillende getrouwheids- en rechtmatigheidscriteria benoemd, gevolgd door de beheersmaatregelen die de organisatie heeft getroffen. In dit onderdeel inventariseren we dus de processtappen, risico’s en beheersmaatregelen. 2 Controle Voor de beheersmaatregelen, genoemd in de inventarisatie, die niet afdoende zijn, wordt er een controleactie uitgevoerd. Hierbij wordt vastgelegd wat met de controle (IC en/of VIC) moet worden vastgesteld, wat het kader is voor de controle en tot slot waar deze controle een oordeel over geeft. Bij de provincie Flevoland onderscheiden we in de VIC verschillende oordelen waaronder rechtmatigheid, getrouwheid, afwijkingen van het provinciaal beleid maar ook administratieve afwijkingen. In dit onderdeel geven we daarmee weer, wat we controleren, aan de hand van welk kader en als we een afwijking constateren wat het oordeel hierbij zou zijn (afwijking rechtmatigheid, getrouwheid, provinciaal beleid of administratieve afwijking). 3 Aanpak Tot slot de aanpak van de controle zoals hierboven gedefinieerd.
Hierbij duiden we of het risico afwijkt van de algemene risico-inschatting van het proces1 en geven we aan hoe de controle wordt verricht (deelwaarneming, integrale beoordeling, data-analyse, etc.) met daarbij de omvang van de controle (scope analyse of aantal deelwaarnemingen).
Voor de processen die onderdeel uitmaken van het VIC-plan vinden eerst risicosessies plaats met de procesbetrokkenen. Deze sessies staan in het teken van het afstemmen van de belangrijkste processtappen, de risico’s en de beheersmaatregelen (“de key controls”). De afgestemde procesbeschrijving (inclusief risicoanalyse, beheersmaatregelen en VIC-werkzaamheden) worden vervolgens geactualiseerd in de audittool van het Key Control Dashboard. In de risicosessies wordt ook afzonderlijk aandacht besteed aan de frauderisico’s.
Werkzaamheden: Op grond van de risicocontrolematrix (zoals hierboven genoemd) worden de werkzaamheden uitgevoerd. Waar mogelijk wordt gebruik gemaakt van IC werkzaamheden waar de VIC gebruik van kan maken en anders voert de VIC hier zelf onderzoek naar uit.
Werkzaamheden: Voor het onderdeel aanbestedingen zijn afzonderlijke risicosessies belegd. Vanuit de regiefunctie vindt periodiek afstemming met team inkoop plaats over de opvolging van verbetermaatregelen, het verloop van het proces en de uitkomsten van de door team inkoop uitgevoerde controles op de inkoopdossiers.
Vooralsnog worden de IC en VIC werkzaamheden in excel vastgelegd gezien de flexibiliteit die dit biedt. In deze excelbestanden is allereerst de opzet van de controle beschreven om een lezer van het bestand wegwijs te maken en de relevantie van alle tabbladen aan te tonen. Dit bestand is rechtstreeks gelinkt aan de risicocontrolematrix van het betreffende controleonderwerp om te voorkomen dat de controlewerkwaarheden te beperkt of te uitgebreid zijn. Alle controlewerkzaamheden zoals vastgelegd in het excel bevatten een verwijzing naar onderliggende brondocumentatie (uniek referentienummer in het documentmanagementsysteem) die is geraadpleegd en op basis waarvan conclusies worden getrokken. Deze excelbestanden (en onderliggende brondocumentatie) worden integraal met de accountant gedeeld.
De risico’s, de toetspunten en de verwachte dossierinhoud zijn afgestemd met de externe accountant. Met de externe accountant vindt periodiek overleg plaats over de wijze van selectie en de voortgang van de verbijzonderde interne controlewerkzaamheden. De risicoanalyse is het vertrekpunt voor de verdere uitvoering van de verbijzonderde interne controlewerkzaamheden. De risico’s zijn hierbij onderverdeeld in de getrouwheids- en rechtmatigheidscriteria.
Voor inkoop, personeel en subsidies is de afgestemde risicoanalyse het vertrekpunt voor de uitvoering van de verbijzonderde interne controlewerkzaamheden. Met ingang van het boekjaar 2020 vindt de uitvoering van de gegevensgerichte werkzaamheden van de VIC per kwartaal plaats voor de processen inkoop, personeel en subsidies. Indien op basis van de uitvoering nieuwe risico’s en of bevindingen worden geconstateerd wordt de controleaanpak hierop aangepast.
1
1
Per proces wordt het risico (laag, middel, hoog) in algemene zin geduid op basis van de financiële omvang, de complexiteit van de regelgeving, of het proces aan verandering onderhevig is, de kwaliteit en continuïteit van de medewerkers die bij het proces betrokken zijn en de ervaringen uit eerdere controles.
Vereniging van Nederlandse Gemeenten
23
Provincie Flevoland
Provincie Utrecht
Rapporteren: De uitkomsten van de controlewerkzaamheden worden in een controleverslag samengevat.
Rapporteren: De uitkomsten van de controlewerkzaamheden worden in een memorandum vastgelegd per proces. Deze worden afgestemd met de proceseigenaren.
Gezien het karakter van de VIC waarbij zowel de accountant als de interne organisatie wordt bediend, kent de VIC ook een variatie aan bevindingen, te noemen; afwijkingen rechtmatigheid, getrouw beeld, provinciaal beleid en administratieve afwijkingen. Bovengenoemde afwijkingen worden vooraf met de betrokken medewerkers en managers besproken in het kader van hoor en wederhoor. Elke bevinding in het controleverslag is daarbij opgebouwd uit vier onderdelen zoals hieronder weergegeven. Bevinding
Risico
Advies
Reactie
Feitelijke constatering
Mogelijk risico als gevolg van de constatering
Advies vanuit de VIC-functie om dergelijke constatering in de toekomst te voorkomen.
Reactie van de verantwoordelijke manager verkregen uit het hoor en wederhoor.
Naar hoor en wederhoor worden de bevindingen in de controleverslagen jaarlijks bij de directie aangeboden (wij zijn voornemens om vanaf 2020 deze verslagen ook bij het college aan te bieden). De directie wordt gevraagd kennis te nemen van de controleverslagen en de adviezen vast te stellen. De door de directie vastgestelde adviezen worden aangeboden bij de betreffende afdelingen met het verzoek op opvolging te geven aan deze aanbevelingen. In de voorgenomen aanpak wordt vanaf boekjaar 2020 een selectie van de bevindingen bij GS aangeboden. De reden dat het aantal bevindingen voor GS is beperkt, is omdat een deel van de bevindingen betrekking hebben op de bedrijfsvoering. De bedrijfsvoering is echter een aangelegenheid van de directie. De bevindingen die GS ontvangen zijn in eerste instantie de afwijkingen rechtmatigheid en de afwijkingen getrouw beeld. Deze bevindingen zijn voor GS relevant bij de verantwoording in de jaarrekening naar PS. Op basis van deze informatie kan GS zich in de jaarrekening over de rechtmatigheid verantwoorden. Daarnaast zijn we voornemens om GS afzonderlijk over de afwijkingen van het provinciaal beleid te rapporteren. Dit zijn namelijk die gevallen waarin de ambtelijke organisatie heeft afgeweken van de voorschriften van GS. Op deze wijze is GS in staat om bij te sturen of haar voorschriften te wijzigingen.
Op grond van deze rapportagesystematiek wordt het management van de provincie gefaciliteerd in het continue optimaliseren van de bedrijfsvoering en is het college in staat om zich over de rechtmatigheid te verantwoorden en is de getrouwheid van deze verantwoording geborgd.
24
Vereniging van Nederlandse Gemeenten
Tweemaal per jaar wordt een overkoepelend verslag opgesteld waarin de belangrijkste uitkomsten zijn weergegeven. De intentie is om het tussentijdse verslag te behandelen in het CMT en het eindverslag in GS.
C Risicoanalyse gemeente Alkmaar
Vereniging van Nederlandse Gemeenten
25
D Control Framework gemeente Almere
26
Vereniging van Nederlandse Gemeenten
E Scoping gemeente Almere Scoping A01
Afvalopbrengsten
B01
Belastingheffing
B02
Belastinginvordering
B03
Belastingheffing overig
LASTEN Realisatie
BATEN Realisatie
In scope VIC
Materieel
0
-3.864.138
ja
nee
0
-87.404.088
ja
ja
85.387
-923.773
nee
nee
0
-318.194
nee
nee
C01
Secretarieleges Burgerzaken
0
-3.269.676
ja
nee
D01
Contractuele verhuur
0
-12.979.883
ja
ja
D02
Grondverhuur
0
-2.484.651
nee
nee
D03
Medegebruik
0
-1.564.901
ja
nee
D04
Verhuur Sportaccommodaties
0
-2.256.681
ja
nee
D05
Verhuur Overig
0
-2.699.402
nee
nee
E01
Grondverkoop - Niet GREX
0
-323.847
nee
nee
E02
Kostenverhaal
0
-9.061.100
ja
ja
E03
Kadaster grondverkoop
0
-126.919
nee
nee
E04
Anterieure overeenkomsten
0
0
nee
nee
F01
Inkoop en aanbesteding Algemeen
181.362.786
0
ja
ja
F02
Belastingen - Lasten
3.556.142
0
ja
nee
F03
Bijdragen Gemeenschappelijke Regeling
19.828.575
-145.318
ja
ja
F04
Bijdrage GR ACF
26.158.516
0
ja
ja
F06J
Inkoop zorg Jeugd Stipter
29.743.298
0
ja
ja
F06JVJ
Inkoop zorg Jeugd Stipter VJ
-59.698
0
nee
nee
F06W
Inkoop zorg WMO Stipter
25.141.450
0
ja
ja
F06WVJ
Inkoop zorg WMO Stipter VJ
24.886
0
nee
nee
H01
Omgevingsvergunningen WABO
0
-425.694
nee
nee
H02
Leges leidingen
0
-671.390
nee
nee
H03
Bouwleges
0
-8.900.565
ja
ja
H04
Marktgelden
0
-289.258
nee
nee
I02
Parkeeropbrengsten
0
-14.852.051
ja
ja
I03
Parkeren Overig
0
-36.871
nee
nee
J01
Personeelskosten
132.773.817
-69.890
ja
ja
J02
Ontvangen ZW gelden
-741.642
0
nee
nee
J03
Opbrengst detachering
0
-1.297.439
nee
nee
88.391.860
-90.058.029
ja
ja
773.579
0
ja
nee
0
-404.747.860
nee
ja
K01
Levensonderhoud GWS
K02
Participatie GWS
L01
Algemene uitkering
L02
Subsidies - Baten
0
-54.460.520
nee
ja
L03
Subsidies - Lasten
69.006.017
0
ja
ja
L03E
Subsidies - Exploitatie
13.880.084
0
ja
ja
L03NSUB Subsidies - Lasten niet SUBMOD
4.392.560
0
ja
nee
L03VJ
Subsidies - Lasten VJ
-1.206.302
0
ja
nee
L03W
Subsidies - Woonlastenfonds
658.684
0
ja
nee
Vereniging van Nederlandse Gemeenten
27
F Rechtmatigheid als onderdeel van risicomanagement (gemeente Amersfoort) De gemeente Amersfoort heeft bewust gekozen voor volwassenheidsniveau 3 bij de rechtmatigheidsverantwoording: een verantwoording gericht op de brede bedrijfsvoering. Zie paragraaf 4.1 ‘De rechtmatigheidsverantwoording als groeimodel’. Deze bijlage gaat in op de Amersfoortse benadering: welke keuzes zijn gemaakt en welke lessen zijn te onderkennen? Eisen aan de interne organisatie Om intern tot een rechtmatigheidsverantwoording te komen, worden eisen aan de interne organisatie (administratieve organisatie en interne beheersing) gesteld. Hieronder is dit uitgewerkt volgens het PDCA-model. Fase
Activiteit
Toelichting
Doelen en normen expliciet maken
PLAN
Wat zijn de bronnen (welke wet- en regelgeving)? Wat zijn de concrete vereisten (bepalingen)?
Doorvertalen naar risico’s en beheersmaatregelen
DO
Hoe kan vastgesteld worden dat voldaan is aan de vereisten?
Testen van de beheersmaatregelen (controls) door de gemeente zelf
CHECK
Werken de beheersmaatregelen in de praktijk? Vast te stellen door 1e lijn (kwaliteitsmedewerkers), control (2e lijn) en/of 3e lijn (Verbijzonderde Interne Controle).
Over de uitkomsten rapporteren, bijsturen en verantwoorden
ACT
Wat zijn de resultaten uit de testfase? Hierover zelfstandig intern (namens management, directie, college) een oordeel vormen. Moet bijgestuurd worden om aan de vereisten te voldoen? Hoe ziet de verantwoording hierover eruit?
Van belang is dat gemeenten expliciet aandacht besteden aan de inrichting van deze fasen voor zover die in de praktijk nog niet optimaal fungeert. Rechtmatigheidsverantwoording als opstap naar een breed risicomanagement raamwerk Bij veel gemeenten richt het risicomanagement zich alleen op het inventariseren van de financiële risico’s (weerstandsvermogen) en het op ad hoc basis uitvoeren van risicobeoordelingen van projecten of thema’s. De vereiste om door het college een rechtmatigheidsverantwoording op te laten stellen, kan helpen om binnen de gemeente aandacht te krijgen voor een bredere invulling en positionering van risicomanagement. Zoals gezegd hebben de managers een breed scala aan doelstellingen te realiseren. Het brede risicomanagement raamwerk richt zich dan ook op al deze doelstellingen. Onder andere door (systematisch) voor alle afdelingen en projecten risicosessies uit te voeren voor alle type risico’s. Deze risicosessies leveren bouwstenen voor de door het management af te leggen verantwoordingen (waaronder rechtmatigheid). Oftewel: het management heeft inzicht in en verantwoordt zich over de mate waarin (alle) doelstellingen zijn gerealiseerd. Door dit ‘cascadegewijs’ in te richten kunnen ook de directie en college zich verantwoorden.
Op deze manier sluit de rechtmatigheidsverantwoording organisch aan op de inrichting van control en risicomanagement binnen de gemeente. Geleerde lessen breed risicomanagement raamwerk Voor de inrichting van het brede risicomanagement (control) raamwerk zijn bij het invullen en operatio-
28
Vereniging van Nederlandse Gemeenten
naliseren van de rechtmatigheidsverantwoording een aantal geleerde lessen te onderkennen. Onderwerp
Geleerde lessen
Breed risicomanagement raamwerk breed binnen de gemeente positioneren
• Leg expliciet in het (risicomanagement)beleid vast dat het management, directie en college zich verantwoorden over rechtmatigheid (en andere doelstellingen) • Visualiseer de brede context van risicomanagement: relatie tussen type risico’s (onder andere rechtmatigheid) en organisatie-onderdelen (afdelingen en projecten). Gebruik dit als communicatiemiddel (‘praatplaat’) met managers en directie. • De collega’s van Financiën & Risk faciliteren pro actief het management, directie, college en raad om het beleid en dus ook de rechtmatigheidsverantwoording te operationaliseren.
Fase: Doelen en normen expliciet maken
• Koppel de jaarrekeningposten aan processen: maak de financiële stromen inzichtelijk. Bepaal per financiële stroom de wettelijke vereisten (normen)
Fase: Doorvertalen naar risico’s en beheersmaatregelen
• Bepaal hoe de normen vertaald worden in de werkwijze/ processen. • Formuleer de risico’s en beheersmaatregelen
Fase: Testen van de beheersmaatregelen (controls) door de gemeente zelf
• Stem de aanpak van de verschillende testwerkzaamheden op elkaar af. Denk aan kwaliteitsmedewerkers (1e lijn) en Verbijzonderde Interne Controle (VIC). • Laat de VIC ook posten beoordelen die door de 1e lijn zijn getest. Dit draagt bij aan de kwaliteitsverbetering breed binnen de gemeente.
Fase: Over de uitkomsten van het testen rapporteren, bijsturen en verantwoorden
• Gebruik voor het verantwoorden binnen de hele gemeente een voor het management toegankelijk en herkenbaar format. • Betrek het management bij het bepalen van het format voor de rechtmatigheidsverantwoording. Bij voorkeur met managers die affiniteit hebben met control en dit intrinsiek belangrijk vinden. Deze managers zijn de ‘ambassadeurs’ en vertellen het de andere managers. Werk het uit in pilotvorm. • Beperk de rechtmatigheidsverantwoording tot de kernrisico’s en kernbeheersmaatregelen. • Voorkom vaktechnisch (financieel/risk) jargon in de rechtmatigheidsverantwoording. • Bouw de rechtmatigheidsverantwoording door het college ‘cascadegewijs’ op: als resultante van de individuele, onderliggende verantwoordingen per afdeling (door de managers). Overweeg of ook een verantwoording op directie/gemeentesecretaris-niveau relevant is.
Risicosessies: een belangrijke pijler van het brede risicomanagement Risicosessies zijn een belangrijke pijler van het beleid risicomanagement binnen de gemeente en een belangrijke bouwsteen voor de rechtmatigheidsverantwoording. Tijdens een risicosessie worden de belangrijkste risico’s voor een onderdeel (afdeling of project) geïnventariseerd en geprioriteerd. De deelnemers zijn in staat om de afdeling of project breed te spiegelen op alle type risico’s, waaronder rechtmatigheid. Het uitgangspunt is dat alle afdelingen en projecten periodiek een risicosessie houden. De keuzes over frequentie, reikwijdte en type risicosessie zijn afhankelijk van de relevantie, de omvang en/of het risicoprofiel van de afdeling. Ook de keuze van de deelnemers en mate van documentatie van de uitkomsten kan verschillen. Eventueel kan worden volstaan met een korte actualisatie van het aanwezige risicoprofiel. Een andere optie is dat wordt volstaan met het bespreken van de risico’s (managementdialoog). De overwegingen die ten grondslag liggen aan de gemaakte keuzes dienen expliciet gemaakt te worden. De gemeente kiest bewust voor het begeleiden van de risicosessies door medewerkers breed binnen de gemeente. Hierdoor is bewustwording en kennis van risicomanagement breder binnen de gemeente verspreid. De risicosessies hebben een cyclisch karakter. Het uitgangspunt is om deze
Vereniging van Nederlandse Gemeenten
29
minimaal eenmaal per jaar te houden. Ook binnen de directie en het college van B&W worden tenminste jaarlijks een risicosessie gehouden. Deze hebben meer de insteek om te reflecteren op de effectiviteit van het risicomanagement en stil te staan bij een overview van de gemeentelijke toprisico’s. Risicosessies dragen nadrukkelijk bij aan het lerend vermogen van de organisatie. De risicoprofielen en de geleerde lessen worden transparant en breed gecommuniceerd. Geleerde lessen risicosessies
30
Onderwerp
Geleerde lessen
Risicosessies op de agenda van management en directie
• Sluit zo dicht mogelijk aan op de belevingswereld van de managers: welke risico’s kunnen het realiseren van – alle – doelstellingen (in de breedte) van de manager negatief beïnvloeden? • Neem het – dwingend – uitvoeren van risicosessies (voor elke afdeling en project) op als pijler in het beleid risicomanagement. • Laat managers met affiniteit met risicosessies fungeren als ‘ambassadeur’ in de organisatie.
Relevantie voor rechtmatigheidsverantwoording
• Risicosessies creëren bewustzijn voor ‘in control’, dus ook voor de rechtmatigheidsverantwoording. • Koppel de uitkomsten van de risicosessies expliciet aan de andere elementen (bronnen) van de rechtmatigheidsverantwoording. • Tijdens een afdelingsbrede of projectbrede risicosessie zullen de belangrijkste risico’s op tafel komen. Wees je bewust dat dit –waarschijnlijk- voor rechtmatigheid maar een beperkt deel van de scope afdekt. • In een risicosessie kan extra aandacht gevraagd worden voor het aspect rechtmatigheid, eventueel in de vorm van een ‘special’.
Praktische uitvoering
• Koppel het periodiek inventariseren van de financiële risico’s (weerstandsvermogen voor Begroting en Jaarrekening) aan het uitvoeren van risicosessies. • Zorg dat de deelnemers van de risicosessie de afdeling/project goed kunnen spiegelen op alle type risico’s.
Vereniging van Nederlandse Gemeenten
G Tekst rechtmatigheidsverantwoording commissie BBV
Vereniging van Nederlandse Gemeenten
31
H Digitalisering van de audit De technologische hulpmiddelen die door gemeenten gebruikt worden, hebben onder meer impact op de manier waarop (verbijzonderde) interne controles kunnen worden uitgevoerd. Het doel van de interne controle verandert niet, maar wel de samenstelling van de controlemiddelen. De rechtmatigheidsverantwoording is een mooie kans om na te denken hoe met digitalisering de interne controle kan verbeteren. Met de introductie van de rechtmatigheidsverantwoording staat (verbijzonderde) interne controle meer dan ooit in de belangstelling. Digitalisering heeft als doel de interne controle efficiënter en effectiever te maken en bij de uitvoering ervan de organisatie zo min mogelijk te belasten. Even een waarschuwing vooraf, wie digitalisering alleen als kostenbesparing ziet, komt bedrogen uit. De inzet van technologische hulpmiddelen is relatief complex en vraagt tijd, aandacht en specifieke kennis, maar leidt wel tot een grotere toegevoegde waarde en daarmee een significante bijdrage aan de interne beheersing. Om niet te verdrinken in begrippen als data-analyse, tekst-mining, processmining en robotisering zijn een aantal stappen geformuleerd om met digitalisering van de interne controle aan de slag te gaan. Iedere lange mars begint met een eerste stap, daarin verschilt digitalisering niet van de interne controle.
De gepresenteerde aanpak is mede gebaseerd op de ervaringen binnen de gemeente Utrecht.
32
Stap
Toelichting
Experimenteren en oriënteren
Maak tijd en ruimte om te oriënteren en te verkennen welke technische hulpmiddelen allemaal beschikbaar zijn. Veel interne controle-afdelingen zullen een nieuwe wereld binnen gaan. Ook een wereld met een eigen jargon! Net als de wereld van audit een eigen jargon heeft. Het kost wat tijd om elkaars taal te leren en thuis te raken in de materie. Zonder volledig te zijn kan grofweg de volgende indeling aan tools worden gemaakt: • Risicomanagement: diverse tools zijn beschikbaar om het risicomanagementproces te ondersteunen. Veel gemeenten hebben bij het bepalen van het weerstandsvermogen al ervaring met risicomanagement opgedaan en daarbij gebruik gemaakt van tools. Op de markt zijn tools beschikbaar voor gedefinieerde (proces)risico’s en beheersmaatregelen. Dit voorkomt dat steeds het wiel opnieuw moet worden uitgevonden. Gemeenten hebben gelijksoortige processen en kunnen hier hun voordeel mee doen. • Data-analyse: Data-analyse kent inmiddels vele verschijningsvormen. De eenvoudigste is analyses uitgevoerd met Excel, die overigens zeer effectief kunnen zijn. Meer complexe tools zijn in staat analyses op (semi-)gestructureerde en ongestructureerde data uit te voeren. Een voorbeeld van semigestructureerde data zijn inkoopfacturen; op iedere factuur staat min of meer dezelfde informatie, alleen de lay-out verschilt.
Verder zijn er tools die gestructureerde data (tabellen in database) en ongestructureerde data (tekst in Word, pdf, en fotomateriaal) met elkaar in verband brengen. Voor de ongestructureerde data wordt een ontologie gebaald, m.a.w. worden zoektermen (inclusief synoniemen) gedefinieerd om de analyse uit te voeren. • Processmining: Processmining houdt in dat de logbestanden van een informatiesysteem, bijvoorbeeld een zaaksysteem, geanalyseerd worden. Zo wordt inzichtelijk wie op welk moment handelingen heeft uitgevoerd. Dit geeft mogelijk een beeld in hoeverre interne controle maatregelen als functiescheidingen worden nageleefd en het voorkomen van afwijkingen in processen • Robotic Process Automation (RPA): Tijdens interne controles voeren auditors relatief veel eenvoudige maar tijdrovende (administratieve) handelingen uit. Te denken valt aan het documenteren van controlebevindingen. RPA kan worden toegepast op processen die altijd dezelfde set aan regels volgen, zogenoemde ‘‘rule-based processen’’. Op dit soort processen kan het ‘‘als-dan’’-principe worden toegepast: de robot weet hoe hij moet handelen in een bepaalde situatie. Kent hij de situatie niet dan kan hij ook niet handelen. • Audit ondersteunende tools: Tenslotte zijn er diverse tools beschikbaar om de interne controles te structureren en met de organisatie te delen.
Koppelen van bevindingen aan risico’s en beheersmaatregelen geeft een goed beeld van wat er nog te doen is en waar prioriteiten moeten worden gelegd.
Vereniging van Nederlandse Gemeenten
Stap
Toelichting Het inwinnen van advies en het brengen van bezoeken aan gemeenten die de eerste stappen al hebben gezet, geeft een beeld van de (on)mogelijkheden en samen optrekken werkt inspirerend. Ook het zelf experimenteren geeft zicht op wat er mogelijk is en wat de toegevoegde waarde voor de gemeente kan zijn. Aan de slag gaan maakt het concreet en geeft perspectief aan wat nodig is om de toepassing tot een succes te maken. En natuurlijk is niets leuker dan een eerste succes te boeken! Volledigheid van de havengelden. De gemeente Utrecht heeft de vijfde grootste binnenhaven van Nederland. In de havens voor zowel beroepsvaart als recreatievaart meren jaarlijks vele duizenden schepen aan. Op bepaalde uren van de dag is liggeld verschuldigd. Concernaudit was benieuwd of nagegaan kon worden of al het verschuldigde liggeld daadwerkelijk betaald was. Zou er data beschikbaar zijn aan de hand waarvan dit gecontroleerd kon worden? Met deze vraag zijn we aan de slag gegaan en we hebben meerdere websites gevonden waarop schepen gevolgd kunnen worden. We hebben data verkregen en gekoppeld aan de gemeentelijke administratie. Dat was allemaal goed te doen en leverde verrassende resultaten op. Was dit een trouvaille? Of is dit slechts het begin wat mogelijk is?
Structureren en aan Met een eerste succes ontstaat vanzelf het nodige enthousiasme om door te gaan. Toch is de slag het goed dan even pas op de plaats te maken om een plan van aanpak voor het vervolg op te stellen. Een gestructureerde aanpak met kleine stappen leidt in het algemeen tot het beste resultaat. Het voordeel van kleine stappen is dat het overzichtelijk blijft en bij succes is ieder keer weer wat te vieren. Maak in het plan van aanpak helder wat de doelen zijn en wat mag worden verwacht. Doelen kunnen zijn: • Efficiency vergroten: repeterend en tijdrovend werk wordt geautomatiseerd. Probeer in te schatten wat de winst in het tijdsbeslag voor de controle is en wat de bijdrage aan kwaliteitsverbetering verbetering is. • Dekkingsgraad verhogen: een voordeel van 100% controles is dat alle fouten en onzekerheden gezien worden. In plaats van een steekproef van bevindingen, wordt de totale massa op een doelmatige manier in een controle betrokken. Bij de uitkomsten van steekproeven is discussie over de betrouwbaarheid en bestaat de neiging zaken als incident of toevalstreffer af te doen. • Nauwkeurigheid verbeteren: bij het uitvoeren van interne controles behoren menselijke fouten als leesfouten, schrijffouten, rekenfouten en subjectiviteit bij beoordelingen tot het verleden.
Na de ontwikkelfase van de software of analysetools, is er zekerheid over de wijze waarop de beoordeling plaatsvindt. • Single audit: waar digitale controles ingericht zijn, wordt slechts één controle uitgevoerd. De resultaten, gebruikte software, koppelingen, methoden en technieken staan open voor reviews van andere partijen die gebruik willen maken van de digitale controle-informatie. Voorafgaand aan het bepalen van de reikwijdte van plan van aanpak is het raadzaam randvoorwaarden (voor het toepassen van digitalisering te definiëren. Deze randvoorwaarden kunnen bijvoorbeeld zijn: juistheid en betrouwbaarheid van gebruikers (toegang) en de aan hen toegekende rechten, bevoegdheden, autorisaties. Zo kunnen harde ingebouwde functiescheidingen in systemen en applicaties worden gecontroleerd. Dit helpt bij het prioriteren van interne controles die het eerste voor digitalisering in aanmerking komen. Randvoorwaarden waaraan kan worden gedacht zijn: • digitale opslag: toetsing van de normen moet in een digitaal systeem uitgevoerd kunnen worden; • uniformiteit: het is duidelijk welke aspecten getoetst moeten worden, waar die te vinden zijn en op eenduidige wijze zijn vastgelegd; • repeterend: terugkerende werkzaamheden. In combinatie met een analyse van de omvang van de geldstromen kunnen keuzen worden gemaakt en prioriteiten worden gesteld.
Digitalisering is met name zinnig als sprake is van een substantieel financieel belang en een groot aantal transacties.
Vereniging van Nederlandse Gemeenten
33
Stap
Toelichting Kies voor een aanpak en deelplan per financiële stroom, immers iedere geldstroom kent zijn eigen controledoelen, normenkader en uitgangspunten. Maatwerk voor elke geldstroom moet leiden tot de meest effectieve weg om de controledoelen te bereiken. Om controles te kunnen digitaliseren kunnen er koppelingen gemaakt worden tussen (delen van) informatiesystemen, ‘datalakes’ ingericht worden of analyses naar de informatiesystemen gebracht worden. En zoals eerder gezegd, definieer kleine stappen, het houdt het overzichtelijk en succes geeft energie. Bedenk bij het maatwerk goed aan welke fase van de interne controle de oplossing moet bijdragen. Hoewel NBA-handreiking 1141 ‘Data-analyse bij de controle: uitdagingen en vooral kansen’ voor accountants is geschreven laat het mooi zien hoe digitalisering en data-analyse kan worden ingebed in de planning, risico-analyse, de toepassing bij het toetsen van interne beheersmaatregelen en bij het doen van gegevensgerichte werkzaamheden. Bij ieder (deel)project is het besteden van aandacht aan informatiebeveiliging én privacy een ‘must’. Door van meet af aan de verantwoordelijke voor informatiebeveiliging te betrekken worden missers voorkomen. Realiseer dat in veel systemen privacygevoelige en vertrouwelijke data zijn opgeslagen.
Direct hier de goede maatregelen nemen voorkomt teleurstelling als na een inspannende ontwikkelfase om deze redenen niet in productie kan worden gegaan. Door direct de goede maatregelen te nemen, voorkomt u teleurstelling. Het zou zonde zijn als de productie hierdoor niet door kan gaan na een inspannende ontwikkelfase. Tot slot, besteed aandacht aan een goede projectgovernance en zoek verbinding met de belangrijkste stakeholders.
Evalueren en continu verbeteren
34
Evalueren wat is bereikt, wat de knelpunten waren, wat nodig is om de vervolgstappen te zetten en wat de ontwikkelingen binnen en buiten de gemeente zijn. Het zijn de ingrediënten om periodiek (jaarlijks) het plan van aanpak bij te stellen en nieuwe doelen te formuleren. Door te weten wat er speelt en aansluiting bij nieuwe technologische ontwikkelingen binnen te zoeken kan met eisen en wensen uit oogpunt van digitalisering van de audit rekening worden gehouden.
Vereniging van Nederlandse Gemeenten
Vereniging van Nederlandse Gemeenten
35
Vereniging van Nederlandse Gemeenten Nassaulaan 12 2514 JS Den Haag +31 70 373 83 93 info@vng.nl oktober 2020
vng.nl